Linux系統(tǒng)安全機(jī)制與可信計(jì)算

1、Linux系統(tǒng)安全機(jī)制與可信計(jì)算知識(shí)域：操作系統(tǒng)安全知識(shí)子域：操作系統(tǒng)安全基礎(chǔ)了解操作系統(tǒng)的功能及作用理解操作系統(tǒng)的安全設(shè)計(jì)機(jī)制理解操作系統(tǒng)的安全配置要點(diǎn)2操作系統(tǒng)基本概念什么是操作系統(tǒng)？操作系統(tǒng)是控制其他程序運(yùn)行，管理系統(tǒng)資源并為用戶提供操作界面的系統(tǒng)軟件的集合連接計(jì)算機(jī)硬件與上層軟件和用戶之間的橋梁3底層硬件設(shè)備基本輸入輸出系統(tǒng)（BIOS）操 作 系 統(tǒng)應(yīng)用程序操作系統(tǒng)位置計(jì)算機(jī)系統(tǒng)軟件系統(tǒng)軟件操作系統(tǒng)數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)用軟件硬件4操作系統(tǒng)基本組成用戶接口為不同用戶提供操作界面，實(shí)現(xiàn)對(duì)系統(tǒng)資源的控制進(jìn)程管理通過(guò)分片調(diào)度CPU執(zhí)行周期，實(shí)現(xiàn)進(jìn)程調(diào)度，從而實(shí)現(xiàn)多任務(wù)內(nèi)存管理管理和規(guī)劃主機(jī)內(nèi)存的使用，

2、為其它模塊提供接口文件系統(tǒng)管理明確磁盤(pán)或分區(qū)上的文件數(shù)據(jù)結(jié)構(gòu)，提高文件安全性磁盤(pán)管理處理不同的磁盤(pán)高度和讀寫(xiě)請(qǐng)求，保證磁盤(pán)的存儲(chǔ)效率設(shè)備管理管理不同的外設(shè)，保證設(shè)備的合理使用和分配5操作系統(tǒng)的功能用戶與計(jì)算機(jī)硬件之間的接口操作系統(tǒng)為用戶提供了虛擬計(jì)算機(jī)，把硬件的復(fù)雜性與用戶隔離計(jì)算機(jī)系統(tǒng)的資源管理者CPU管理存儲(chǔ)管理設(shè)備管理文件管理網(wǎng)絡(luò)與通信管理用戶接口6硬件：CPU、內(nèi)存、硬盤(pán)、網(wǎng)絡(luò)硬件等內(nèi)核系統(tǒng)調(diào)用接口用戶進(jìn)程操作系統(tǒng)安全目標(biāo)操作系統(tǒng)安全目標(biāo)標(biāo)識(shí)系統(tǒng)中的用戶和進(jìn)行身份鑒別依據(jù)系統(tǒng)安全策略對(duì)用戶的操作進(jìn)行訪問(wèn)控制，防止用戶和外來(lái)入侵者對(duì)計(jì)算機(jī)資源的非法訪問(wèn)監(jiān)督系統(tǒng)運(yùn)行的安全性保證系統(tǒng)自身的安

3、全和完整性7知識(shí)域：操作系統(tǒng)安全8知識(shí)子域：Linux系統(tǒng)安全機(jī)制理解Linux系統(tǒng)標(biāo)識(shí)與鑒別機(jī)制理解Linux系統(tǒng)訪問(wèn)控制機(jī)制理解Linux系統(tǒng)文件安全機(jī)制理解Linux系統(tǒng)安全審計(jì)實(shí)現(xiàn)機(jī)制掌握Linux系統(tǒng)安全配置的方法Linux安全基礎(chǔ)9UNIXMinixLinux一些相關(guān)基本概念開(kāi)源軟件GNUGPLPOSIXLinux發(fā)展過(guò)程Linux特點(diǎn)10開(kāi)放源碼系統(tǒng)穩(wěn)定性能優(yōu)異設(shè)備獨(dú)立性安全性強(qiáng)跨平臺(tái)兼容性Linux安全機(jī)制11用戶帳號(hào)和用戶組文件系統(tǒng)遠(yuǎn)程登錄進(jìn)程管理系統(tǒng)日志Linux防火墻用戶帳號(hào)和用戶組基本概念用戶身份標(biāo)識(shí)（User ID）組身份標(biāo)識(shí)（Group ID）文件必須有所有者用戶必

4、須屬于某個(gè)或多個(gè)組用戶與組的關(guān)系靈活（1對(duì)多、多對(duì)多等都可以）根用戶擁有所有權(quán)限12帳號(hào)信息存儲(chǔ)信息存儲(chǔ)用戶信息：passwd與shadow組信息：group與gshadow所在目錄： /etc13用戶帳號(hào)文件-passwd14passwd文件特點(diǎn)文本格式全局可讀存儲(chǔ)用戶信息口令加密存放（不可逆DES算法）存儲(chǔ)條目格式name:coded-passwd:UID:GID:userinfo:homedirectory:shell條目例子demo:x:523:100:J.demo:/home/demo:/bin/sh用戶帳號(hào)影子文件-shadow15shadow文件特點(diǎn)文本格式僅對(duì)root可讀可寫(xiě)存

5、儲(chǔ)用戶密碼等信息存儲(chǔ)條目格式name:passwd:lastchg:min:max:warn:inactive:expire:flag條目例子root:$1$acQMceF9:13402:0:99999:7:用戶登錄名及加密的用戶口令上次修改口令日期口令兩次修改最小天數(shù)及最大天數(shù)口令失效前多少天向用戶警告被禁止登錄前還有效天數(shù)帳號(hào)被禁止登錄時(shí)間保留域用戶與組安全管理-驗(yàn)證文件16驗(yàn)證用戶文件（PWCK）驗(yàn)證用戶帳號(hào)文件/etc/passwd與/etc/shadow是否一致，例如合法shell、合法目錄等驗(yàn)證組文件（grpck）正確的域數(shù)目唯一組群標(biāo)識(shí)合法成員和管理員列表用戶與組安全管理-密碼安

6、全17使用安全的密碼安全密碼的特征自己容易記別人不好猜管理好系統(tǒng)管理員密碼良好的密碼習(xí)慣一主一備密碼信封保護(hù)root帳號(hào)18root帳號(hào)使用不遠(yuǎn)程使用root不直接使用root帳號(hào)登陸，使用普通用戶登陸su成為root不要將root shell留在終端上root僅作維護(hù)操作，不運(yùn)行不明程序或其他用戶程序Linux文件系統(tǒng)19文件系統(tǒng)類型Ext4、Ext3、Ext2、ReiserFS、XFS、JFS等文件和目錄對(duì)每個(gè)文件和目錄設(shè)置訪問(wèn)權(quán)限文件系統(tǒng)安全20Linux文件類型普通文件（文本文件、二進(jìn)制文件）目錄文件設(shè)備文件鏈接文件管道文件文件系統(tǒng)目錄結(jié)構(gòu)21/home bin proc usr bo

7、ot lib dev etc varftp ljw linux bin lib man tmp lib log run spool tmp常見(jiàn)目錄用途/binbin是二進(jìn)制（binaries）的縮寫(xiě)。許多基本的系統(tǒng)程序都駐留在/bin目錄中。/boot存放啟動(dòng)Linux時(shí)使用的一些核心文檔,如 vmlinuz等。/dev用ls -F命令可以列出/dev目錄中的內(nèi)容。該目錄下是一些稱為設(shè)備驅(qū)動(dòng)程序的特殊文件，用于訪問(wèn)系統(tǒng)資源或設(shè)備，如軟盤(pán)、硬盤(pán)、CD-ROM、調(diào)制解調(diào)器、系統(tǒng)內(nèi)存等。有了這些文件，用戶可以像訪問(wèn)普通文件一樣方便地訪問(wèn)系統(tǒng)中的物理設(shè)備。例如，當(dāng)用戶要從一個(gè)文件中讀數(shù)據(jù)時(shí)，可以通過(guò)調(diào)

8、用/dev/mouse文件從鼠標(biāo)器讀取輸入信息。在/dev目錄下，各種設(shè)備所對(duì)應(yīng)的特殊文件以一定的規(guī)則命名。例如，/dev/fd0文件指第一個(gè)軟驅(qū)，/dev/fdl指第二個(gè)軟驅(qū)，/dev/hda指第一個(gè)硬盤(pán)，而/dev/hdal指的是/dev/hda的第一個(gè)分區(qū)，如此類推。/etc包含系統(tǒng)管理所需要的大量配置文件和子目錄，例如口令文件/etc/passwd、系統(tǒng)初始化腳本文件/etc/rc等。該目錄是系統(tǒng)中最重要的目錄之一。 /home包含所有用戶的個(gè)人主目錄。通常，用戶的個(gè)人主目錄以它的名字來(lái)命名，例如/home/yang是用戶yang的個(gè)人目錄。在新安裝的Linux系統(tǒng)中，/home目錄中

9、可能沒(méi)有任何用戶。/lib該目錄包含動(dòng)態(tài)鏈接共享庫(kù)的文件映象，這些文件為眾多程序提供了共享代碼。使用庫(kù)文件，可以縮小可執(zhí)行文件的尺寸，節(jié)省系統(tǒng)空間。22常見(jiàn)目錄用途/lost+found這是一個(gè)空目錄，只有當(dāng)文件系統(tǒng)發(fā)生故障時(shí)，才用來(lái)存放找不到正確存儲(chǔ)位置的文件。/mnt用戶可以在該目錄下臨時(shí)掛裝其它文件系統(tǒng)，如在使用CD-ROM時(shí)，就要把CD-ROM文件掛裝在該目錄下。/proc這是Linux系統(tǒng)提供的一個(gè)“虛擬文件系統(tǒng)”，其中的文件都存放在內(nèi)存中，而不是存放在磁盤(pán)中。它們指向在系統(tǒng)中正在運(yùn)行的各個(gè)進(jìn)程，以便用戶可以隨時(shí)訪問(wèn)程序的運(yùn)行信息。給用戶提供方便的接口。/root超級(jí)用戶的主目錄/s

10、bin 專門(mén)用來(lái)存儲(chǔ)系統(tǒng)管理員使用的可執(zhí)行文件，如mount、linuxconf等等。 /tmp程序執(zhí)行時(shí)會(huì)產(chǎn)生一些臨時(shí)信息，系統(tǒng)把這些臨時(shí)信息存放在一個(gè)暫時(shí)文件中，這個(gè)臨時(shí)文件就放在/tmp目錄下。/usr這是一個(gè)非常重要的目錄，它包括許多子目錄。有些子目錄用來(lái)存放系統(tǒng)的配置文件和重要的大型軟件包程序。前面討論到的各目錄對(duì)系統(tǒng)的操作來(lái)說(shuō)是最基本的，而在/usr中許多內(nèi)容是可以任選的。如果沒(méi)有/usr目錄，系統(tǒng)中將只有cp、1s等程序，這樣的系統(tǒng)會(huì)非常難用/var該目錄用來(lái)容納大小經(jīng)常發(fā)生變化或打算進(jìn)一步擴(kuò)充的目錄或文件。例如，文件/var/adm中包含著系統(tǒng)管理員感興趣的內(nèi)容，特別是系統(tǒng)日志

11、，它記錄了系統(tǒng)的所有錯(cuò)誤或問(wèn)題。23文件/目錄權(quán)限基本概念權(quán)限類型：讀、寫(xiě)、執(zhí)行權(quán)限表示方式：模式位drwxr-xr-x 3 root root 1024 Sep 13 11:58 test文件系統(tǒng)的權(quán)限24文件權(quán)限模式數(shù)學(xué)字表示25文件所有者文件所在組其它人權(quán)限文件、目錄隱含模式26rwxr-xr-xSticky（防刪除位）sgidsuidrwxr-xr-x111rwsr-sr-t-r-s-x-x 1 root root 10704 Apr 15 2002 /usr/bin/passwd SUID程序1. chmod 改變文件權(quán)限設(shè)置。2. chgrp 改變文件的分組。3. chown 改變

12、文件的擁有權(quán)。4. chattr 設(shè)置文件屬性文件權(quán)限修改命令使用chmod命令修改文件權(quán)限:chmod 666 myfilechmod 1777 /tmp使用umask命令設(shè)置文件默認(rèn)權(quán)限umask 022umask 077設(shè)置sticky位27遠(yuǎn)程登錄安全28telnet - sshSSH#service sshd start設(shè)置能夠登錄本機(jī)的IP地址/etc/ssh/sshd_config禁止root用戶遠(yuǎn)程登陸限定信任主機(jī)屏蔽登錄banner信息Linux進(jìn)程安全29進(jìn)程基本概念進(jìn)程類型交互進(jìn)程批處理進(jìn)程守護(hù)進(jìn)程進(jìn)程模式用戶模式內(nèi)核模式進(jìn)程狀態(tài)運(yùn)行態(tài)、等待態(tài)、停止態(tài)、僵死態(tài)守護(hù)進(jìn)程30

13、守護(hù)進(jìn)程的概念在后臺(tái)運(yùn)行，無(wú)終端或shell結(jié)合守護(hù)進(jìn)程啟動(dòng)方式引導(dǎo)系統(tǒng)是啟動(dòng)手工從shell啟動(dòng)使用crond守護(hù)進(jìn)程啟動(dòng)重要守護(hù)進(jìn)程Apmd 高級(jí)電源管理Xinetd 支持多種網(wǎng)絡(luò)服務(wù)的核心守護(hù)程序Linux進(jìn)程安全管理31進(jìn)程的執(zhí)行手工執(zhí)行自動(dòng)執(zhí)行資源空虛時(shí)執(zhí)行周期性執(zhí)行進(jìn)程資源限制限制進(jìn)程創(chuàng)建大型文件限制單個(gè)用戶調(diào)用的最大子進(jìn)程個(gè)數(shù)Linux日志管理32Linux日志類型連接時(shí)間日志進(jìn)程統(tǒng)計(jì)錯(cuò)誤日志應(yīng)用程序日志日志文件注釋Access-log記錄http/web連接Acct/pcct記錄用戶命令Boot.log記錄開(kāi)機(jī)自檢過(guò)程信息lastlog最近成功登錄和不成功登錄message從

14、syslog中記錄信息sudolog記錄sudo發(fā)出的命令sulog記錄su命令的使用syslog從 syslog中記錄信息utmp記錄當(dāng)前登錄用戶信息wtmp用戶每次登錄進(jìn)入和退出時(shí)間xferlogftp會(huì)話信息maillog記錄電子郵件活動(dòng)信息Linux日志安全管理33保護(hù)日志文件日志文件權(quán)限設(shè)置審查日志中不正常情況非常規(guī)時(shí)間登錄日志殘缺Su的使用服務(wù)的啟動(dòng)情況使用syslog設(shè)備Syslog.conf設(shè)置使用syslog日志服務(wù)器Linux防火墻34Linux下的防火墻框架iptables包過(guò)濾NAT數(shù)據(jù)包處理Iptables基本規(guī)則Iptables -t table command m

15、atchtargetIptables基本應(yīng)用Iptables A INPUT s j ACCEPTIptables D INPUT dport 80 j DROP知識(shí)域：操作系統(tǒng)安全知識(shí)子域：安全操作系統(tǒng)和可信計(jì)算了解安全操作系統(tǒng)的發(fā)展了解SELinux主要特點(diǎn)了解可信計(jì)算技術(shù)及發(fā)展35安全操作系統(tǒng)概念操作系統(tǒng)安全安全設(shè)置安全增強(qiáng)安全操作系統(tǒng)可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)（Truested Computer Security Evaluation Critria，TCSEC）可信操作系統(tǒng)36安全操作系統(tǒng)研究概況1965年，Multics1973年，安全模型BLP模型：信息的保密性Biba模型：信息的完

16、整性1969年，Adept-501986年，SeeureXeniX，B21987年，TMach(TrustedMach)，B3近年來(lái)Trusted BSDSELinuxAppArmor37SELinux簡(jiǎn)介SELinux安全增強(qiáng)Linux（Security Enhanced Linux）安全子系統(tǒng)強(qiáng)制訪問(wèn)控制（MAC）美國(guó)國(guó)家安全局開(kāi)發(fā)以GNU GPL形式開(kāi)源發(fā)布38SELinux主要特點(diǎn)強(qiáng)制訪問(wèn)控制Mandatory Access Control最小特權(quán)限定進(jìn)程訪問(wèn)最小資源RBAC用戶按角色賦予最小權(quán)限運(yùn)行模式強(qiáng)制模式（enforcing）警告模式（permissive）關(guān)閉模式（disab

17、led）3940可信計(jì)算技術(shù)的產(chǎn)生可信計(jì)算技術(shù)的思想起源于安全啟動(dòng)的研究安全啟動(dòng)的基本思想：將系統(tǒng)分解為一系列實(shí)體，在啟動(dòng)運(yùn)行時(shí)，檢查實(shí)體的完整性早期較有代表性的研究40時(shí)間安全啟動(dòng)系統(tǒng)簡(jiǎn)介1990Tripwire系統(tǒng) 使用軟件手段確保UNIX系統(tǒng)的完整性1994BITS （ Boot Integrity Token System ）使用智能卡實(shí)現(xiàn)安全啟動(dòng)，用口令認(rèn)證用戶，主機(jī)和智能卡之間通過(guò)共享秘密認(rèn)證，主機(jī)計(jì)算出完整性度量值和存儲(chǔ)在智能卡的值比較實(shí)現(xiàn)安全啟動(dòng)；1997AEGIS系統(tǒng) Arbaugh在該安全啟動(dòng)系統(tǒng)中基于這樣的公理：BIOS的初始化是可信的，一個(gè)組件被另一個(gè)可信組件檢測(cè)驗(yàn)證后

18、也是可信的。41可信計(jì)算平臺(tái)在計(jì)算機(jī)主版上嵌入一個(gè)獨(dú)立的TPM芯片，以增強(qiáng)系統(tǒng)的安全。41TPM（Trusted Platform Module） 可信平臺(tái)模塊42可信計(jì)算平臺(tái)的基本思想從行為的角度理解可信：一個(gè)實(shí)體是可信的，如果它的行為總是以所期望的方式運(yùn)行。實(shí)現(xiàn)：首先建立一個(gè)信任根。信任根的可信性由物理安全和管理安全確保。 再建立一條信任鏈。從信任根開(kāi)始到硬件平臺(tái)、到操作系統(tǒng)、再到應(yīng)用，一級(jí)認(rèn)證一級(jí)，一級(jí)信任一級(jí)。從而把這種信任擴(kuò)展到整個(gè)計(jì)算機(jī)系統(tǒng)42可信計(jì)算平臺(tái)模塊TPM它由CPU、存儲(chǔ)器、I/O、密碼運(yùn)算器、隨機(jī)數(shù)產(chǎn)生器和嵌入式操作系統(tǒng)等部件組成。TPM本身就是一個(gè)小的計(jì)算機(jī)系統(tǒng)，一般

19、是一種片上系統(tǒng)SOC（System on Chip）,而且它應(yīng)當(dāng)是物理可信和管理可信的。TPM采用證書(shū)技術(shù)，用戶與TPM通過(guò)證書(shū)認(rèn)證來(lái)確認(rèn)相互的身份。TPM能實(shí)現(xiàn)加解和解密，數(shù)字簽名和驗(yàn)證43TPM的基本結(jié)構(gòu)44密鑰產(chǎn)生執(zhí)行引擎I/O非易失存儲(chǔ)器電源檢測(cè)隨機(jī)數(shù)產(chǎn)生器Opt-LnSHA-1引擎HMAC引擎密碼協(xié)處理器易失存儲(chǔ)器信任鏈信任根：TPM從信任根開(kāi)始到硬件平臺(tái)、到操作系統(tǒng)、再到應(yīng)用，一級(jí)認(rèn)證一級(jí)，一級(jí)信任一級(jí)。45可信支撐軟件（TSS）TSS是在TPM平臺(tái)上的支撐軟件為其他軟件提供方便和統(tǒng)一使用TPM的接口4647應(yīng)用程序本地應(yīng)用服務(wù)提供者（TSP）遠(yuǎn)程應(yīng)用服務(wù)提供者（TSP）RPC客戶

20、RPC服務(wù)TSS 核心服務(wù)層 （TCS）設(shè)備驅(qū)動(dòng)庫(kù)（TDDL）TPM設(shè)備驅(qū)動(dòng)可信平臺(tái)模塊（TPM）核心模式系統(tǒng)進(jìn)程模式用戶進(jìn)程模式可信平臺(tái)體系結(jié)構(gòu)47可信計(jì)算平臺(tái)的主要作用48可信計(jì)算平臺(tái)能夠保護(hù)數(shù)據(jù)存儲(chǔ)區(qū)域，避免敵手直接從物理上訪問(wèn)到機(jī)密數(shù)據(jù)存儲(chǔ)區(qū)。能夠保證系統(tǒng)運(yùn)行的環(huán)境是沒(méi)有被篡改的，所有的代碼能夠執(zhí)行于一個(gè)未被篡改的運(yùn)行環(huán)境。49可信計(jì)算組織的產(chǎn)生與發(fā)展49TCG的主要任務(wù)組織簡(jiǎn)介一個(gè)非盈利的工業(yè)標(biāo)準(zhǔn)組織宗旨是加強(qiáng)不同計(jì)算環(huán)境的安全性 任務(wù)定義、開(kāi)發(fā)、推廣一套開(kāi)放的、系統(tǒng)的可信計(jì)算規(guī)范提供一整套可信計(jì)算安全技術(shù)規(guī)范硬件構(gòu)建模塊和通用的軟件接口設(shè)計(jì)多平臺(tái)，多外設(shè)的可信計(jì)算環(huán)境50可信計(jì)算平

21、臺(tái)規(guī)范5152中國(guó)可信計(jì)算技術(shù)發(fā)展之路各方努力發(fā)展思路與TCG可信計(jì)算技術(shù)的區(qū)別我國(guó)可信計(jì)算技術(shù)5253起步：2003到2004年2006年11月3日，可信計(jì)算密碼專項(xiàng)組在國(guó)家密碼管理局的支持下正式組建。2007年7月，專項(xiàng)組召開(kāi)國(guó)產(chǎn)自主可信計(jì)算技術(shù)與產(chǎn)業(yè)狀況匯報(bào)演示會(huì)。2007年7月，專項(xiàng)組召開(kāi)了可信計(jì)算密碼技術(shù)與產(chǎn)品進(jìn)展匯報(bào)會(huì)。2007年12月20日，專項(xiàng)組召開(kāi)了打造中國(guó)可信計(jì)算DNA中國(guó)自主可信計(jì)算產(chǎn)品聯(lián)合發(fā)布會(huì)，對(duì)外發(fā)布了由中國(guó)首次自主研發(fā)和自主創(chuàng)新的可信計(jì)算系列產(chǎn)品。2007年12月29日，國(guó)家密碼管理局正式頒布可信計(jì)算密碼支撐平臺(tái)功能與接口規(guī)范。2008年4月，聯(lián)想、同方、長(zhǎng)城、方正的可信計(jì)算機(jī)陸續(xù)上市。2008年12月，可信計(jì)算密碼專項(xiàng)組正式更名為中國(guó)可信計(jì)算工作組(TCMU)。我國(guó)可信計(jì)算技術(shù)發(fā)展歷程5354中國(guó)可信計(jì)算工作組TCMU成員5455政府：在各個(gè)重要科技和產(chǎn)業(yè)計(jì)劃中都已將可信計(jì)算技術(shù)的研究與應(yīng)用列入重點(diǎn)；學(xué)術(shù)界：針對(duì)TPM/TCP、遠(yuǎn)程證明、可信計(jì)算測(cè)評(píng)、信任鏈構(gòu)建技術(shù)、關(guān)鍵技術(shù)標(biāo)準(zhǔn)等方面都在積極開(kāi)展研究工作；產(chǎn)業(yè)界：積極研究各種基于TCM的安全解決方案；國(guó)家密碼管理局和